CSRF Koruması Devre Dışı (ARCH6125)

Anahtar ruby.security.disabled-csrf · Önem warning · Kategori security · CWE CWE-352

CSRF korumasını kapatmak, durum değiştiren isteklerin başka bir siteden taklit edilmesine olanak tanır. Tarayıcı tabanlı uç noktalarda CSRF jetonu doğrulamasını etkin tutun.

Hatalı

class TransfersController < ApplicationController
  skip_before_action :verify_authenticity_token

  def create
    Account.transfer(params[:to], params[:amount])
  end
end

Doğru

class TransfersController < ApplicationController
  protect_from_forgery with: :exception

  def create
    Account.transfer(params[:to], params[:amount])
  end
end

Düzeltme

skip_before_action :verify_authenticity_token satırını kaldırın ve protect_from_forgery koruyun.